Fragen? Antworten! Siehe auch: Alternativlos
Ransomware droht dein Business runterzufahren, wenn du nicht zahlst. Die Cloud auch.
Ransomware basiert darauf, dass du deine Daten da nicht ohne Hilfe rausextrahiert kriegst. Die Cloud auch.
Wieso betrachten wir Ransomware als Erpressung aber Microsofts Windows-7-Supportgebühren für Behörden nicht?
Gut, bei der Cloud kriegst du einen Account Manager. Ich hörte aber, bei Ransomware kümmert sich auch ein Account Manager darum, dass du deine Daten entschlüsselt kriegst. Jetzt wo ich drüber nachdenke... Ich habe noch nichts Negatives über den Kundendienst von Ransomware-Anbietern gehört. Im krassen Gegensatz zu allen anderen Teilnehmern der Softwarebranche.
OK, niemand will Ransomware haben. Die müssen ihren Scheiß unter Vortäuschung falscher Tatsachen unterjubeln.
Genau wie die Antivirusindustrie!
Das ist bemerkenswert, denn Go erzeugt (im Vergleich) riesige Binaries. Dafür haben die dann keine Abhängigkeiten auf dem System. Das wird der Grund für Go gewesen sein.
Für Malware eignet sich Go aber eher weniger, hätte ich gedacht, denn die Binaries kann man am Ende nicht strippen, d.h. die Malware-Analyse hat dann Rückenwind, weil die Symbole noch alle drin sind.
Man findet halt kein anständiges Personal mehr, sage ich euch. Wir haben damals unsere Bits noch einzeln eingegeben, mit Pinzette auf Dip-Schaltern!1!! Mit Gegenwind!!1!
Speziell die, die den Workaround eingespielt hatten, und dachten, sie seien jetzt sicher.
Federal prosecutors in Brazil on Tuesday charged the American journalist Glenn Greenwald with cybercrimes for his role in bringing to light cellphone messages that have embarrassed prosecutors and tarnished the image of an anti-corruption task force.Das ist halt der Unterschied zwischen Brasilien, den USA und Deutschland. In Brasilien klagt ihn schlicht die Staatsanwaltschaft an, deren Fehlverhalten er aufgedeckt hatte. In den USA wäre er in irgendeinem Folterknast verschwunden, aus Sicherheitsgründen in Einzelhaft und sein Anwalt darf ihn nicht sehen. In Deutschland hätte man die Form gewahrt und es hätte ihn eine andere Staatsanwaltschaft wegen anderer Vorwürfe angeklagt. Steuerhinterziehung oder sowas. Damit es nicht schon auf den ersten Blick so stark stinkt.Welche Leute hat er denn da angepisst in Brasilien?
The articles cast doubt on the impartiality of a former judge, Sérgio Moro, and of some of the prosecutors who worked on a corruption investigation that landed several powerful political and business figures in prison. Among them was a former president, Luiz Inácio Lula da Silva, a popular leftist whose conviction paved the way for the election of Mr. Bolsonaro.Ja gut, Anfängerfehler. Der Bolsonaro ist ja kein Idiot und hat da natürlich seine Kumpels installiert. Sonst hätten die ja nicht den Lula weggeräumt, wenn das noch Leute gewesen wären, die Lula da installiert hat.Interessanterweise kopiert der Bolsonaro jetzt mit seinen Schergen die Strategie, die die Amis gegen Manning und Assange fahren:
Citing intercepted messages between Mr. Greenwald and the hackers, prosecutors say the journalist played a “clear role in facilitating the commission of a crime.”Assange wollen sie ja mit einem "Geständnis" von Manning drankriegen, das sie mit Beugehaft zu erpressen versuchen, dass Assange den Leak angestiftet haben soll. Und Manning sitzt jetzt seit Monaten im Knast, weil sie dieses Geständnis zu Lasten von Assange nicht abgeben will, auch wenn sie selbst gar nicht betroffen wäre davon, denn ihre Strafe wurde schon ausgesetzt.Aber der Höhepunkt der ganzen Nummer ist das hier:
Mr. Bottino said Brazil’s case law gives journalists broad protections. “You can’t punish a journalist for divulging a document that was obtained through criminal means,” he said.Ihr erinnert euch noch an die Netzpolitik.org-Landesverrat-Nummer?
Durch das Betriebssystem Windows 7 auf Rechnern der Bundesministerien und Bundesbehörden entstehen der Regierung in diesem Jahr Kosten von 800.000 Euro.
Da haben ein paar Kids eine Bankfiliale besetzt, um auf die Klimakatastrophe aufmerksam zu machen. Die Credit Suisse hat die dann angezeigt. Dann passierte das hier:
Völlig überraschend spricht das Lausanner Bezirksgericht die Aktivisten frei, die in einer Bankfiliale Tennis gespielt hatten.Das ist eigentlich immer ein Eigentor, wenn man zu einem Gerichtsverfahren nicht erscheint. Dass nicht mal die Staatsanwaltschaft erscheint, das kommt mir jetzt ein bisschen merkwürdig vor, aber hey, andere Länder, andere Sitten![...]
Ein erster Erfolg wurde den Aktivisten geschenkt: Sie hatten die Deutungshoheit, weil es weder Staatsanwaltschaft noch Credit Suisse für nötig hielten, vor dem Einzelrichter aufzutreten. Die 13 (!) Top-Anwälte, welche die Klimajugend ehrenamtlich verteidigten, konnten den hiesigen Finanzplatz ohne Widerrede für sein «heuchlerisches Verhalten» anprangern.
bis Einzelrichter Philippe Colelough am Montagabend verkündete, die Aktivisten wegen eines «rechtfertigenden Notstands» vom Vorwurf der Hausbesetzung freizusprechen. Angesichts des drohenden und bereits jetzt festzustellenden Klimanotstands sei ihre Aktion «notwendig und angemessen» gewesen. Die Demonstranten hätten keine andere Möglichkeit gehabt, als mit ihrer durchdachten Aktion darauf aufmerksam zu machen.Wait, what?!
Heilige Scheiße! Hoffentlich macht das Schule!
Update: Mein Kumpel Rop weißt darauf hin, dass das nicht das erste Urteil dieser Art ist.
Ich habe ehrlich gesagt sofort daran denken müssen, wie gerade Gemeinden den Klimanotstand ausrufen. (Danke, Christian)
In a modern telecommunications service provider, new equipment is deployed, configured, maintained and often financed by the vendor. Just to let that sink in, Huawei (and their close partners) already run and directly operate the mobile telecommunication infrastructure for over 100 million European subscribers.(Hervorhebung im Original, und völlig zu Recht)Das ist übrigens ein echt alter Trend. Wir haben uns in den 90ern im CCC über zwei Firmen namens Comverse (später umbenannt zu Verint) und Amdocs besorgte Verschwörungstheorien zugeraunt. Die Israelis haben damals als erste erkannt, dass die Deppen im Ausland eh alle outsourcen, und wenn du da deine Wanzen einbringen willst, dann musst du gar nicht Leute bestechen oder einbrechen oder hacken. Es reicht, wenn du deine inländischen Produkte subventionierst. Dann kaufen die Deppen im Ausland automatisch bei dir.
Comverse und Amdocs haben so Abrechnungssysteme für Telcos verkauft. Also die Systeme, die die ganzen Metadaten sehen. Genau die Daten, die man so haben will als Geheimdienst.
Man könnte sagen, die Amis haben das Modell perfektioniert. Die haben es geschafft, dass die Deppen auch ohne Subventionen den überteuerten Scheiß von Cisco kaufen.
Der Punkt war jedenfalls: Schon seit damals haben sich alle unsere großen Firmen in eine erstickende Abhängigkeit von ausländischer Technologie begeben und da kommen wir jetzt auch nicht wieder raus.
Die Politik schwadroniert gerne von digitaler Souveränität. Der Zug ist abgefahren, und zwar schon echt lange.
Bert fasst die Folgen so zusammen:
The host service provider often has no detailed insight in what is going on, and would have a hard time figuring this out through their remaining staff. Rampant outsourcing has meant that most local expertise has also left the company, willingly or unwillingly.We recently asked a large European service provider why only part of their customers get IPv6 service, and how they pick which parts do or do not get such service. They could not tell us, and informed us they too would like to know
Das kann ich nur unterstreichen. Das Niveau, auf dem da Duplosteine von irgendwelchen mehr oder weniger unseriösen ausländischen Zulieferern zusammengestöpseln werden, ist immer wieder ernüchternd.Ich habe einen Kunden, der an einigen Stellen den ernsthaften Versuch unternommen hat, die beworbene Funktionalität auch zu nutzen. Die sind da gegen Wände gerannt, das glaubt man gar nicht. Rudimentärste Basisfunktionalität funktioniert einfach nicht! Die Israelis sind wenigstens so professionell, dass ihr Scheiß dann auch mehr oder weniger zuverlässig funktioniert. In anderen Bereichen, besonders bei Security-Appliances, ist das häufig nicht der Fall. Die kauft man, stellt sie in die Ecke, kreuzt im Compliance-Report die Checkbox an, und dann ist es völlig wurscht, ob das Gerät irgendwas tut oder nicht.
Bert schildert ein schönes Beispiel für Outsourcing-Ketten:
However, over time, such IT staff also tends to get outsourced. At one major mobile provider the chain is now that the company has outsourced IT to Tech Mahindra and that Tech Mahindra in turn talks to Ericsson, who then finally operate the network.Meanwhile, Ericsson and other vendors in turn have outsourced or shipped many functions to to yet different countries where staff is more affordable.
So sieht es aus.In another example, one large Dutch mobile provider has handed over most of their technical staff to Huawei. Half of their freshly built and well designed headquarters has since stood empty - what remains in the other half are IT Architects who do not get closer to actual operations than an Excel sheet or a Visio diagram.Auch das kann ich bestätigen. So sieht das in der Praxis häufig aus. Besonders beeindruckend finde ich immer, wie die IT-Architekten sich dann im Kreis auf die Schulter klopfen, was für wichtige Arbeit sie doch tun hier. Dabei ist das im Wesentlichen das Anklicken einer "Lösung" aus einem Katalog. Denn was die Zulieferer nicht anbieten, das geht halt nicht. IT-Architekten versuchen dann ihr Selbstbild aufzubessern, indem sie da irgendwelche mehr oder weniger sinnlosen Integrationsanforderungen formulieren. Das ist das Stichwort, auf das die Zulieferer gewartet haben, denn das ist der Schlüssel für die wirklich teuren Rechnungen. Da machen die ihre fetten Profite.Ja, aber Fefe, wo kommt denn dann die Security her? Ganz einfach! Wir schreiben in den Vertrag, dass der Rechnungszulieferer die Daten nur für die Rechnungsstellung benutzen darf.
(Kunstpause)
That's it.
Oh und einen schönen Punkt hat Bert noch: Wenn du bei Ericsson kaufst, weil du denkst, dann hast du Europäische Tech im Haus: Ericsson lässt in China entwickeln.
Als Schlusswort nehme ich mal dieses tolle Zitat von Bert:
As a case in point, one European 15-million subscriber network now relies on a core team of 4 people (one of whom is their manager) to provide all addressing and numbering services. After years of failed attempts, these four people will now also be outsourced.
Anmerkung: In einer früheren Version dieses Textes war aufgrund eines Tippfehlers von "Protonen-Torpedos" die Rede. Im "Star Trek"-Universum finden allerdings "Photonen-Torpedos" Verwendung. Wir haben den Fehler korrigiert.Und DIE wundern sich dann, wenn ihre Arbeit nicht mehr respektiert wird.
Was war noch gleich eure Gegenutopie? Eine Vision würde mir reichen.
Habt ihr eine?
Nicht?
Wieso maßt ihr euch dann an, anderen Leuten ihre Utopien madig zu machen?
Wenn ihr schon fiktionale Torpedos nicht recherchiert kriegt, wieso sollte euch dann irgendjemand eure anderen Recherchen glauben?
Naja, das ist ja kein Problem, hat sich Intel gedacht. Produzieren wir halt hauptsächlich Xeons. Das sind die Server-Versionen ihrer Chips, für die sie unfassbare Freudenhauspreise aufrufen. Das Top-End-Modell mit 28 Kernen kostet aktuell über 15000€. AMDs Top-Server-Chip hat 64 Kerne und kostet die Hälfte.
Und jetzt? Jetzt kommt diese Meldung hier: Intel hat jetzt auch bei den Xeons Lieferprobleme. Wie zur Hölle ist das möglich? Wer kauft denn bei so einem Preis-Leistungs-Verhältnis noch Xeons?
Vor allem kommt da ja noch dazu, dass man bei Intel im Feld dann so je nach Workload bis zu einem Viertel der Performance für Mitigations für Sicherheitslücken ausgibt.
AMD hat eine viel günstigere Fertigungsstrategie, indem sie ihre Chips aus "Chiplets" zusammenpuzzeln, während bei Intel alles auf einem zusammenhängenden Chip ist, und bei der Fertigung steigt die Ausfallwahrscheinlichkeit mit der Fläche pro Chip, insofern kann es sein, dass bei Intel bei diesen Monster-Chips einfach nur eine sehr geringe Ausbeute durchkommt.
Ich hätte ja echt gerne mal belastbare Zahlen, wie viele Xeons Intel so pro Woche abgesetzt kriegt.
Update: Oh und Intel hat gerade auch noch Preissenkungen für Xeons verkündet. Was ist denn da los? Reden die Abteilungen nicht miteinander?
So will die Behörde ihr Nachwuchsproblem lösen.Hmm. Wenn das die Lösung ist, dann muss ich das Problem falsch verstanden haben.
Jetzt gibt es nämlich neue Erkenntnisse über esoterische Geräte, die das in Frage stellen.
MIP is a kind of hypothetical proof system where a regular computer asks questions to a pair of all-knowing but not necessarily honest “oracles” that cannot communicate with one another.Das klingt ja schonmal absurd, aber für dieses Paper haben sie das Modell nochmal erweitert. Die beiden Orakel sind jetzt quanten-verschränkt, d.h. ihre Antworten sind korreliert. Das hat profunde Auswirkungen, wie sich rausstellt:Last year, Wright and Natarajan drafted a proof showing that the spooky connection in the MIP* class gives the verifier interrogating the entangled provers the power to check even more difficult problems (those whose complexity increases double-exponentially with the size of the input). The added entanglement gives more knowledge to the verifier to ask better questions of the provers (the oracles).Die aktuelle Arbeit hat jetzt herausgearbeitet, dass dieses Konstrukt noch mächtiger wäre als gedacht.They posit that MIP* could efficiently verify every problem in the “recursively enumerable class,” or RE, basically every problem for which it would take a finite amount of time to calculate if the answer was “yes;” a “no” answer could take an infinite amount of time to calculate. MIP*=RE.Da fiele dann eben auch das Halteproblem drunter.
Wenn Software über Dateien oder das Netzwerk kommuniziert, dann muss man darauf achten, dass die Bytes in der richtigen Reihenfolge abgelegt werden, wenn mehr als eine Plattform an der Kommunikation teilnimmt. Das Problem nennt sich Endianness, ein altes Wortspiel. Man unterscheidet zwischen Big Endian (die wichtigsten Bytes zuerst) und Little Endian (die unwichtigsten Bytes zuerst). Intel ist Little Endian. "Die Anderen" waren mal alle Big Endian, inzwischen ist das häufig umschaltbar.
Typischer Deserialisierungscode sieht dann so aus:
unsigned int foo(const unsigned char* c) {
return c[0] + c[1]*0x100 + c[2]*0x10000 + c[3]*0x1000000;
}
unsigned int bar(const unsigned char* c) {
return c[3] + c[2]*0x100 + c[1]*0x10000 + c[0]*0x1000000;
}
Statt einem Load sind das vier, und lauter Addition und Multiplikation, die jeder aktuelle Compiler in Shifts umwandelt. Die Loads sind aber der teure Teil. gcc erzeugt für beide Funktionen vier Loads und lauter Shifts und Adds.Nun könnte der Compiler ja theoretisch auch erkennen, dass das als ein einziges Load abzuhandeln ist. Stellt sich raus: clang macht das! clang erzeugt für foo ein 32-bit Load und für bar ein Load und ein bswap (Endianness-Konvertierungs-Instruktion). Das ist mal echt beeindruckend. Ich habe einen Bug bei gcc gefiled, damit die das auch machen.
clang hat inzwischen zu gcc aufgeschlossen was die Qualität des optimierten Codes angeht. Sie setzen gerade zum Überholen an, ist mein Eindruck. Wenn clang noch eine saubere Cross-Compiler-Fähigkeit kriegt, ist gcc so gut wie tot.
Update: Einer der gcc-Leute hat mir geschrieben, dass gcc das für shift und xor schon kann, aber die Addition bringt ihn im Moment in dem Fall durcheinander. Klang als fixen die das jetzt mal eben. Fände ich gut.
Lockheed Martin Will Replace F-35’s Faulty Computer System With Cloud-Based ProgramsMich wundert bei sowas ja immer ein bisschen, dass die freiwillig ein Denial of Service im Netzwerk zu einem Denial of Service auf dem ganzen Gerät upgraden. Und in einem beweglichen Gerät ist das Netzwerk wahrscheinlich funk-basiert, d.h. ein Jammer reicht, und die Software kann nicht mehr mit der Cloud reden.
Ach komm, Fefe, ist doch bloß Sputnik.
Stimmt, aber ist halt kein Einzelfall.
Just like almost everything else, military organizations increasingly depend on software, and they are turning to an array of open source cloud tools like Kubernetes and Istio to get the job done, according to a presentation delivered by Nicholas Chaillan, chief software officer for the U.S. Air Force, at KubeCon 2019 in San Diego.Halt, halt, das war erst die halbe Meldung! Geht noch weiter!Those tools have to be deployed in some very interesting places, from weapons systems to even fighter planes. Yes, F-16s are running Kubernetes on the legacy hardware built into those jets.Ja, richtig gelesen! Kubernetes im F-16 und im Waffensystem!Ich weiß ja nicht, wie es euch geht, aber ich mache mir immer weniger Sorgen vor einem 3. Weltkrieg. Die werden ihre Flugzeuge gar nicht hochkriegen im Ernstfall, weil die Gegenseite das so timen wird, dass gerade Active Directory wegen eines Citrix-Patches abgeschaltet ist. (Danke, Carsten)